Google TAG: iPhone向けエクスプロイトキット『Coruna』がモバイルウォレットからBIP39シードフレーズを窃取
GoogleのThreat Analysis Group（TAG）とThreat Intelligence Group（GTIG）は、“Coruna”と呼ばれる高度なiOSエクスプロイトキットを特定しました。本キットはiPhoneからBIP39シードフレーズやその他ウォレットデータを窃取するために使用されています。CorunaはiOS 13.0～17.2.1にまたがる23件の脆弱性（ゼロデイを含む）を束ね、2025年2月に初確認されました。フレームワークは、侵害されたギャンブルサイトや偽の取引所サイト（ウォータリングホール攻撃）で訪問者の端末をフィンガープリントし、緩和策を回避するカスタムJavaScriptエクスプロイトチェーン（WebKit RCE）を配信してシステムレベルの権限を取得します。展開後はウォレットアプリや関連アーティファクト（MetaMask、BitKeep、Uniswap/DEX関連アプリ、キャッシュされたQRコード、メモ、スクリーンショット）をスキャンし、12～24語のシードフレーズを暗号化されたC2サーバーへ流出させます。Googleは現在の金銭目的の攻撃の波をUNC6691にトレースしており、同グループは以前に国家支援の疑いがある活動（UNC6353）で使用された後にこのキットを入手したと見られます。AppleはiOS 17.3以降で悪用された脆弱性を修正しており、TAGは即時のアップデート、またはアップグレード不可の端末ではLockdown Modeの有効化を強く推奨しています。トレーダーにとってこの攻撃はモバイルホットウォレットや個人ユーザーに対する重大なリスクを示しており、対策としてiOS 17.3以上への更新、更新不可の場合はLockdown Modeの有効化、メモやスクリーンショットに保存したシードフレーズの削除、重要資産の物理確認が必要なハードウェアウォレットへの移動が推奨されます。報告は、かつてスパイ活動に使われていた高水準のゼロデイが大規模な暗号通貨窃盗向けに商品化されつつあり、フィッシングや端末の乗っ取りリスクが増大し、悪用が広がれば短期的な売り圧力が生じ得るという傾向を指摘しています。
Bearish
Corunaは、ドライブバイのwatering‑hole攻撃を通じてシードフレーズの窃盗を可能にすることで、モバイルホットウォレットを使う暗号資産保有者に対する直接的なリスクを高めます。短期的には、資金へのアクセスを失ったり資産をより安全な保管に移そうとする影響を受けた個人投資家が日中や短時間で売却する可能性が高まり、モバイルウォレットに一般的に保有される流動性の高いトークン（ERC‑20トークン、主要なアルトコイン）に局所的な下押し圧力がかかります。即時の市場影響は集中して一時的である可能性が高く、被害を受けたユーザーは売却または出金を試みますが、大口の機関投資家への影響は小さいです。中長期的には、広範な悪用が発生するとモバイルカストディソリューションに対する個人の信頼が損なわれ、ハードウェアウォレットやカストディサービスの需要が高まり、小型時価総額トークンへの投機的な資金流入が減少する可能性があります。ただし、iOS 17.3+のパッチや明確な緩和策（アップデート、Lockdown Mode、ハードウェアウォレット）により、持続的な市場下落のリスクは低減されます。総じて、このニュースは脆弱なモバイルウォレットに多く保有されている資産の短期的な価格動向に対してベア寄りであり、長期的な影響はより強力なカストディ実践の採用次第です。